信息安全项目建议书.doc

xxxxx股份有限公司信息安全项目建议书厦门天锐科技有限公司Xiamen Tipray Technology Co.,Ltd2012年1月1日 信息安全项目建议书目 录一背景- 2 -二需求分析- 3 -三管理目标- 4 -四管理思路- 4 -4.1防止公司内部数据泄密- 4 -4.2防止机密文件在公司内部扩散- 5 -4.3防止员工外出办公泄密- 6 -4.4防止员工离职泄密- 6 -4.5防止文件外发后泄密- 7 -4.6防止笔记本丢失泄密- 8 -4.7防止员工打印泄密- 8 -4.8防止移动终端办公泄密- 9 -4.9避开服务器复杂环境，防止服务器数据泄密- 9 -4.10内部办公规范化管理，降低泄密风险- 10 -五管理效果- 10 -六关于天锐- 11 -6.1天锐简介- 11 -6.2典型案例:- 11 -6.3 资质证书- 13 -一背景二需求分析 您的员工利用QQ、MSN、Email等随意外发重要文档？ 您的员工利用剪贴板、截屏、打印等方式有意或者无意的泄露内部机密文件？ 您的员工在跳槽到竞争公司前带走机密文档并格式化他们的计算机？ 您的业务员随意给客户发送未经审批的文档？ 如何防止用户利用U盘、CD/DVD、蓝牙、数码相机等设备违规带出电子文档？ 如何能在用户出差时继续保护其笔记本中的机密文档以防止离线泄密？ 如何防止员工外出办公，不慎笔记本丢失也不会造成泄密？ 如何精确控制外发文档的传播范围以防止文档外发后发生二次泄密？ 如何才能防止内部员工随意打印公司重要文件造成泄密？ 如何防止外来计算机随意接入公司内网，造成数据泄密？ 如果防止员工通过iPad、iPhone访问服务器数据泄密？ 三管理目标 对终端软硬件环境规范化管理、对员工网络行为规范管理，让员工养成良好的工作习惯，提高保密意识，降低泄密风险； 对内部文件透明加密后，保持现有的工作模式和操作习惯不变，不改变文件格式、不封闭网络、外设端口，保证办公效率，实现数据泄密管理，形成“对外受阻，对内无碍”的管理效果； 未经公司授权允许，数据不管任何方式离开了公司均无法正常访问。只有经过合法流程审批后，才能在公司授于的权限范围内访问； 全程监督、跟踪、记录所有员工的全部操作，实时回溯泄密全过程。 四管理思路4.1防止公司内部数据泄密通过动态加解密技术，有效防止公司内部数据泄密。即员工在创建、编辑文档时，一旦发出写硬盘的操作，文档会被自动加密存放在硬盘上，若发出读硬盘的操作，文档将被自动解密以明文的形式打开，防止作者故意或由于疏忽而造成泄密或对文件恶意破坏。管理思路： q 不改变员工使用习惯、不改变文件格式、不改变公司网络结构、不降低员工办公效率、不封闭公司网络、不封闭公司电脑的外设端口； q 做到公司内部员工文档交互依旧自由流通，无任何影响； q 企业内部形成类似一个“用户无感知的加密网”，员工未经授权，不管任何方式，数据离开了公司的环境，无法正常查看； q 只有经过公司审批后，用户才可在授于的权限范围内，访问该文件。4.2防止机密文件在公司内部扩散 管理思路：q 作者在公司内部创建了机密文件（如：工资表、技术方案等）后，根据实际业务的需要，对需要访问的不同员工设定不同的访问权限；q 被授权的员工获得该机密文件后，打开时必须输入作者赋予的正确口令，才能访问该机密文件；q 被授权的员工经过合法的身份认证后，也只能在赋予的权限范围内访问该机密文件；q 机密文件的访问权限的控制包括：阅读次数、次数打印、是否可截屏、是否可编辑、阅读时间、禁止删除、过期自毁等。4.3防止员工外出办公泄密管理思路： q 短期外出：方便员工晚上回家或者周末在家也能正常加解密文件，不需要额外的操作。 q 长期外出：在规定的期限内，携带笔记本在外也可以正常工作，超过期限，将无法打开加密文档。 q 永久外出：对在分公司或办事处用户，可使用永久离线，保证总部与分部之间的资料都是加密的，可以互相访问，又可以控制分部的资料，防止外泄。4.4防止员工离职泄密管理思路：q 员工在新建、编辑重要文件（如：CAD文件、设计图纸等）时，服务器自动对重要文件备份到服务器指定隐藏目录下保存，避免员工离职时有意删除或格式化电脑，给企业带来损失；q 通过对公司电脑上的数据透明加密，有效地避免了员工离职时，想带走几年下来大量重要的资料。4.5防止文件外发后泄密与外界进行频繁的信息沟通已成为公司必要的一种业务模式，这些交互的信息可能会涉及企业核心信息，而这些信息一旦流出企业就面临着失控的风险。为了解决对外业务交互的后顾之忧，我们提供信息对外发布管理思路：管理思路：q 当需要给客户或者合作伙伴外发文件时，首先向上级领导进行外发申请，而后才能有权将该文件打包成一个受控文件，外发给客户或合作伙伴；q 被授权的客户或合作伙伴获得该受控外发文件后，打开时需先进行合法的身份认证，而后才能在授予的权限范围内访问；q 身份认证的方式包括：口令认证、机器码认证、联网认证；q 访问权限包括：阅读次数、可打印、可截屏、可编辑、阅读期限、过期自毁、回收等；q 被授权的客户或或者伙伴在访问该文件时，无需在自己的电脑上安装任何插件，即可访问。4.6防止笔记本丢失泄密在计算机广泛使用的今天，笔记本电脑的丢失会给我们带来很大的麻烦，除了经济损失外，电脑中存储的涉密资料、个人隐私的泄密会成为另一个潜在的威胁，有可能给我们带来无可挽回的损失。数据的加密保证了笔记本电脑丢失的情况下，电脑中存储的资料仍然不被泄密。只有输入合法的口令，才可以查看笔记本上的数据。4.7防止员工打印泄密管理思路：q 对员工是否可打印、可在哪台打印、打印何类型文档，做到事前控制；q 对打印的内容进行记录，并提供详细打印日志报表，便于审计；q 提供水印功能起到防伪的作用.4.8防止移动终端办公泄密q 与iPad、iPhone结合，实现通过iPad、iPhone方式在线访问公司服务器的加密数据，提供公司领导层的办公效率。4.9避开服务器复杂环境，防止服务器数据泄密管理思路：q 公司内部加密数据上传到公司制定的白名单服务器时，数据会被自动解密成明文后保存在服务器上；q 员工将服务器上明文数据下载到公司内部终端时，数据被自动加密，避免数据泄密；q 员工在公司外在线访问公司服务器上的数据时，可正常访问；q 当员工在公司外下载服务器上的明文数据时，下载被自动禁止，避免明文数据下载后泄密。4.10内部办公规范化管理，降低泄密风险管理思路：q 对终端硬件使用规范管理：U盘、刻录机、打印机等使用规范化管理；q 对终端软件使用规范管理：规定企业不同的部门电脑统一安装哪些软件，之外的所有软件都是禁止安装；q 对员工网络行为规范管理：对员工的上网行为规范化管理；q 对员工终端软硬件环境、上网行为规范管理后，让员工潜移默化地养成良好的工作习惯，提高保密意识和办公效率，降低数据泄密风险。五管理效果 文档加密： 盗走了 拿走了 没法用 权限控管： 能看不能改 能改不能印 时间期限： 过期了 离职后，带走了 不能用 身份认证： 你是谁 怎确认 要认证 全程追踪： 谁看过 谁印过 有记录 离线管理： 出差了 断网了 也能看 使用习惯： 原来怎么用 现在还怎么用 六关于天锐6.1天锐简介厦门天锐科技有限公司总部位于厦门珍珠湾软件园，是“国家高新技术企业”、“双软认证企业”，公司始终专注于研发具有自主核心技术和知识产权的信息安全软件产品，专业从事数据防泄密产品的研究、开发和销售。公司坚持以人为本，以技术为核心，历经数年积淀，目前技术骨干团队由美国留学归国博士及来自于清华大学、厦门大学、福州大学等著名学府的专业人士组成。在现有的研发人员中，硕士以上学历占60%以上。作为国内数据防泄密领域的领导者，公司已有多个产品取得了著作权登记证书、软件产品登记证书、信息安全产品销售许可证、涉密产品认证证书、军工产品认证证书。产品广泛应用于金融、政府、军队军工、管理咨询、设计开发、贸易、制造业等诸多行业。在研发创新技术领先的同时，凭着对市场的精心耕耘，目前已在浙江、广东成立分公司，北京、天津、上海、苏州、南京、西安等多个直辖市和省会城市设立办事处，并在全国各地建立50 多个经销网点，为终端客户提供满意周到的服务，以专业、热忱的信念持续为客户推出具有国际先进水平的信息安全产品，为推进中国的信息安全步伐不懈努力。6.2 典型案例:彩虹集团电子股份有限公司彩虹集团电子股份有限公司（简称“彩虹电子”）是由国务院国资委管理的中央企业彩虹集团公司于2004年9月10日根据中国法律独家发起设立之股份有限公司，公司于2004年12月20日在香港联合交易所成功挂牌。 彩虹电子地处历史古城陕西咸阳，在西安、昆山、珠海、南京等地均设有工厂，是具有世界影响的显示器件及其资源相关产业制造商。公司拥有11家一级控股子公司及6家二级子公司，其中彩虹股份于1996年5月在上海证券交易所上市，从事显示器件的生产，其彩色显像管的年产销量和市场占有率在行业中排名国内第一，全球前三。彩虹电子同时在其它显示器件、电子玻璃、发光材料及高精密金属部品等领域全力开拓发展。作为行业的领先者，彩虹电子对信息安全建设的要求尤为重视。既要求对内部信息的强力保护，又不能够影响员工的工作效率是彩虹电子对信息安全解决方案的重要指标。天锐绿盾公司通过其强大的技术实力、良好的用户口碑、健全的服务体系，于2010年2月成功中标。天锐绿盾全力为彩虹电子建立起集信息安全管理、监督和审查为一体的数据泄漏防护体系。1项目需求 n 与公司内部无缝AD整合；n 与公司内部OA无缝整合；n 与公司内部CVS、ERP、CRM系统无缝集成整合；n 保护公司内部的重要技术资产不流失，如设计图纸、源代码，资源文档等；n 保护集团、子公司